SQL Server 資料庫鏡像 PARTNER_TIMEOUT 調整：避免網路抖動誤觸發故障轉移

前言：10 秒預設值在不穩定網路下是災難

SQL Server 資料庫鏡像高可用性模式 (Principal + Mirror + Witness) 依賴三節點心跳機制。預設 `PARTNER_TIMEOUT = 10` 秒，意味著任一心跳超過 10 秒未收到即判定失效、觸發故障轉移。在跨資料中心、虛擬化環境、網路擁塞場景下，10 秒極易誤觸發。本文詳細說明調整機制、風險權衡、最佳實踐與驗證方法。

一、心跳與仲裁機制

1. 三角色心跳拓撲

Principal  ←──PING──→  Mirror
    │                   │
    └──────PING─────────┘
         │
      Witness

• 三方雙向 Ping，形成 Quorum (仲裁)
• 任兩方維持聯繫 = 維持 Quorum = 服務可用
• Principal 與 Mirror/Witness 任一斷聯 > Timeout → 觸發故障轉移邏輯

2. PARTNER_TIMEOUT 定義

• 單位：秒
• 預設：10 秒
• 最小：5 秒 (不建議，極度敏感)
• 最大：無硬性上限，但建議 ≤ 60 秒
• 作用：Principal 等待 Mirror 回應的最長時間；Witness 同樣有獨立超時邏輯

二、調整指令與生效機制

1. T-SQL 調整 (僅在 Principal 執行)

-- 設定為 20 秒
ALTER DATABASE [YourDB] SET PARTNER TIMEOUT 20;

-- 查詢目前值
SELECT mirroring_partner_timeout FROM sys.database_mirroring WHERE database_id = DB_ID('YourDB');

2. 生效細節

• 立即生效，無需重啟服務、無需暫停鏡像
• 僅影響 Principal 等待 Mirror 的超時；Mirror 等待 Principal、Witness 邏輯不變
• 若需調整 Witness 超時，需在 Witness 執行相同指令 (但 Witness 無資料庫上線，需透過端點配置或註冊表，較複雜)

三、風險權衡模型

核心權衡：Timeout 每增加 1 秒，真實故障時的 RTO 就增加 1 秒。在「網路抖動頻率」與「可容忍 RTO」之間找平衡點。

四、最佳實踐建議

1. 基準測量：先測再改

-- 收集 7 天心跳往返時間 (RTT) 分布
-- 方法：Extended Events 捕獲 database_mirroring_state_change / 手動 ping 記錄
SELECT
    AVG(rtt_ms) AS AvgRTT,
    PERCENTILE_CONT(0.99) WITHIN GROUP (ORDER BY rtt_ms) OVER () AS P99RTT,
    MAX(rtt_ms) AS MaxRTT
FROM HeartbeatLog
WHERE log_date >= DATEADD(DAY, -7, GETDATE());

• 建議 `PARTNER_TIMEOUT ≥ P99_RTT * 3` (毫秒轉秒後)
• 例如 P99 RTT = 2 秒 → Timeout ≥ 6 秒，取 15-20 秒較保險

2. 協同調整三方超時

• Principal `PARTNER_TIMEOUT` = 20
• Mirror 端同樣執行 `ALTER DATABASE ... SET PARTNER TIMEOUT 20` (對等關係)
• Witness 端點超時：`CREATE ENDPOINT ... FOR DATABASE_MIRRORING (ROLE=WITNESS, CONNECTION_TIMEOUT=20)` (需重建端點)

3. 監控與告警

-- 即時監控鏡像狀態與延遲
SELECT
    DB_NAME(database_id) AS DBName,
    mirroring_state_desc,
    mirroring_role_desc,
    mirroring_partner_timeout AS TimeoutSec,
    mirroring_witness_state_desc,
    mirroring_connection_timeout AS WitnessTimeout
FROM sys.database_mirroring
WHERE mirroring_guid IS NOT NULL;

-- 告警：狀態非 SYNCHRONIZED 持續 > 1 分鐘

五、進階：網路品質保障 (QoS / 專線)

• 鏡像流量打標記 (DSCP EF/CS6) → 交換器/路由器 QoS 保障頻寬、低延遲
• 跨機房專線 / ExpressRoute / Direct Connect，避免公網抖動
• 專用心跳網卡 / VLAN，隔離業務流量干擾

六、遷移建議：從鏡像到可用性群組

資料庫鏡像已進入維護模式 (Deprecated since SQL 2012)。新架構請直接採用 AlwaysOn 可用性群組 (AG)。

七、總結

`PARTNER_TIMEOUT` 是資料庫鏡像在不穩定網路下的「緩衝器」。調整原則：測量實際 RTT 分布 → 設定 ≥ P99×3 → 三方協同調整 → 持續監控 → 規劃遷移 AG。不要為了追求極致 RTO 而設定過低 Timeout，導致頻繁誤故障轉移，反而降低可用性。